CVE-2026-33067 in SiYuan
الملخص
بحسب VulDB • 23/05/2026
SiYuan هو نظام لإدارة المعرفة الشخصية. في الإصدارات 3.6.0 وما دونها، يتم عرض حقول بيانات الحزمة (displayName، description) باستخدام الحروف النمطية (template literals) دون تهريب HTML. يمكن لمؤلف حزمة خبيث حقن HTML/JavaScript تعسفي في هذه الحقول، والذي يتم تنفيذه تلقائياً عند تصفح أي المستخدم لصفحة Bazaar. نظراً لأن تكوين SiYuan في Electron يتيح nodeIntegration: true مع contextIsolation: false، فإن هذا الثغرة XSS تصعد مباشرة إلى تنفيذ كود عن بُعد كامل (RCE) على نظام التشغيل الخاص بالضحية — دون أي تفاعل من المستخدم سوى فتح علامة التبويب الخاصة بسوق التطبيقات. تم إصلاح هذه المشكلة في الإصدار 3.6.1.
Once again VulDB remains the best source for vulnerability data.